CISSP領域重要名詞釋疑 - Least Privilege and Need to know

Least Privilege and Need to know
最低權限意指使用者應被授予最小的存取(授權)去執行工作，但沒有其他額外的權限。需要知道沒有更小的低於最低權限：使用者在存取前必須具體知道他的資訊範圍。
Sebastion是一個護士，他工作在藥品工廠提供多種訓練。她的實習有四個醫生，她和此四個醫生合作治療。因此他的最小權限為與此四名醫生的相關資料，但是他不能存取其他醫生的治療資訊。
必須知道的是Sebastion可以存取這些資訊只有在他執行商業行為時必須去做這些事。如果有一個病人正在接受Sebastion的治療，但是他不是Sebastion本人，最小權限可能會允許存取，但是實際上則不需要。

Learn by example: real-world least privilege
藉由案例去學習:真實世界的最小權限
一間大型的健康照護中心提供商擁有60個IT員工職責是4000個運行在Microsoft Windows上的系統。該公司的員工並不具有最小權限：每個IT員工均被授予網域管理者存取權限。此類存取員工具有桌面協助、備份管理者與其他權限。所有的60個網域管理者均具有超級使用者的權限在4000台Windows系統上。

此等級的權限執行會衍生許多問題。很難藉由CIA去界定操作錯誤。因為太多人能做的工作太多，記錄會有損害。造成資料遺失，授權改變發生，系統損毀，而且難以釐清問題點。

一個新任的安全主管，而她的首要任務就是確定最小權限。基礎角色的帳號被建立：一個協助桌面的角色被同意存取系統；一個備份的角色被同意進行被份與還原，其他工作也是。網域管理者的角色被削減到只剩下所需授權的人員。

許多的前往與管理者抱怨少了超級使用者的授權，但他們都擁有足夠的存取權限做他們的工作。這是項直接且令人印象深刻的改善：運作上未經授權的改變已經停止，系統崩潰的情況也不常發生。操作上仍會發生錯誤，但是這些錯誤的影響較少。